EvtMute

EvtMute 这是一个工具，允许你以攻击性方式使用 YARA 对 Windows 事件日志报告的事件应用过滤器。 使用方式 从这里获取最新版本。EvtMuteHook.dll 包含核心功能；注入后，它会应用一个临时过滤器，允许所有事件被报告。该过滤器可以动态更新，无需重新注入。我编写了 SharpEvtMute.exe，它是一个 C 程序集，可以通过 shad0w 中的 execute 或 cobalt strike 中的 execute-assembly 轻松运行。我将用 C 编写一个原生版本，以便与 shad0w 更好地集成。 禁用日志...

BoomER

BoomER BoomER es un framework de código abierto, desarrollado en Python. La herramienta está enfocada en la post-explotación, con un objetivo principal: la detección y explotación de vulnerabilidades locales, así como la recolección de información de un sistema, como las aplicaciones instaladas q...

PowerSploit

Bifurcado para añadir algunas características a PowerView.ps1 que realizo habitualmente de forma manual Este proyecto ya no recibe soporte PowerSploit es una colección de módulos de Microsoft PowerShell que pueden usarse para ayudar a los evaluadores de penetración durante todas las fases de una...

KeeFarceReborn

KeeFarce Reborn Un DLL independiente que exporta bases de datos en texto claro una vez inyectado en el proceso de KeePass. Muy inspirado en los grandes proyectos KeeFarce, KeeThief y KeePassHax. ¿Otra herramienta de extracción de KeePass, por qué? Hace unos años, @denandz publicó KeeFarce, la...

Dragnmove

Dragnmove Dragnmove es una herramienta de post-explotación que infecta archivos compartidos entre usuarios para moverse de un sistema a otro. Dragnmove puede detectar acciones como soltar un archivo en la ventana del navegador o adjuntar un archivo a un cliente de correo electrónico. Después de q...

CVE-2010-5301

CVE-2010-5301 Una prueba de concepto de un desbordamiento SEH con inyección de DLL arbitraria Descripción Kolibrì HTTP Server 2.0 está afectado por un desbordamiento de búfer basado en pila. En el momento del descubrimiento, esta vulnerabilidad se explotaba simplemente sobrescribiendo el puntero ...

Cooolis-ms

Cooolis-ms Cooolis-ms 是一个支持Metasploit Framework RPC的一个服务端，用于给Shellcode和PE加载器工作，在一定程度上绕过反病毒软件的静态查杀，同时可以让Cooolis-ms服务端与Metasploit服务器进行分离。 加载器执行流程： 1. 连接Cooolis-Server 2. Cooolis-Server连接Metasploit RPC服务端 3. 取回Payload然后发送回加载器 核心技术： 静态恶意代码逃逸（第六课） 该项目的优点 体积小（ Docker部署（推荐） Bilibili: $ git clone...

zirconium

zirconium 适用于《使命召唤：黑色行动2 僵尸模式》（带 Plutonium 模组）的 DLL 注入式游戏作弊工具。 下载请前往 Releases 页面 免责声明： 这个项目存在是因为我是玩 BO2 长大的，而且它恰好也是一个很好的逆向目标。这是一款 14 年前的 3A 游戏，实际上已经没什么人玩了，但它同时也是一个相对现代的应用，适合用来尝试逆向大型游戏引擎。 我不支持作弊。如果你因为使用这个工具而被封号，我不承担任何责任。因此，请自行承担使用风险。 预览： 功能： 上帝模式 对僵尸隐身 ESP 自瞄 第三人称 FOV 无散布 无后坐力 传送 设置以下内容： 金钱 弹药...

TotalRecall

TotalRecall Reloaded Rompiendo Windows Recall. Otra vez. image Cuando Microsoft rediseñó Recall con enclaves VBS, cifrado AES-256-GCM, autenticación Windows Hello y un host de Proceso Ligero Protegido, el mensaje fue claro: los datos están bloqueados en una bóveda. La bóveda es sólida. El camión ...

InjectProc

InjectProc La inyección de procesos es un método muy popular para ocultar el comportamiento malicioso del código y es muy utilizado por los creadores de malware. Existen varias técnicas que se usan comúnmente: inyección de DLL, reemplazo de procesos también conocido como process hollowing,...

CVE-2018-8440

CVE-2018-8440 Desde que noté que metasploit está usando la dll proporcionada por SandboxEscaper y solo tiene un objetivo para x64, decidí compartir mi poc con la comunidad. Por supuesto, hay vectores mucho mejores que apuntar a la cola de impresión, pero lo dejaré como ejercicio para el lector...

PCShare

PCShare es un potente software de control remoto que permite monitorizar la pantalla, el registro y el sistema de archivos de la máquina objetivo, entre otras cosas. 1. Introducción al uso del software: 2. Inicie PcShare.exe, el programa principal del lado de control; este programa escucha en el...

staged-DLL-Injection-SMB-

staged-DLL-Injection Prueba de concepto de inyección de DLL por etapas escrita en C usando APIs de Win32, desarrollada en un entorno de laboratorio aislado para el estudio de certificación de red team CRTO. ⚠️ Aviso legal: Este proyecto fue desarrollado estrictamente en un entorno de laboratorio...

pe-sieve

Introducción PE-sieve es una herramienta que ayuda a detectar malware en ejecución en el sistema, así como a recolectar el material potencialmente malicioso para su posterior análisis. Reconoce y vuelca una variedad de implantes dentro del proceso escaneado: PE reemplazados/inyectados, shellcodes...

nosferatu

nosferatu Windows NTLM/Kerberos 认证后门 工作原理 首先，DLL 被注入到 lsass.exe 进程中，并开始挂钩认证 WinAPI 调用。目标函数为： NTLM: NtlmShared!MsvpPasswordValidate Kerberos: cryptdll!CDLocateCSystem Kerberos: samsrv!SamIRetrieveMultiplePrimaryCredentials 为了不被检测，挂钩的函数会先调用原始函数，允许正常认证流程。仅在发现认证失败后，挂钩才会将实际 NTLM 哈希替换为后门哈希。 使用 nosferat...

CobaltStrikeScan

CobaltStrikeScan Escanea archivos o memoria de procesos en busca de balizas beacons de Cobalt Strike y analiza su configuración. CobaltStrikeScan escanea la memoria de procesos de Windows en busca de evidencia de inyección de DLL clásica o reflectiva y/o realiza un escaneo YARA en la memoria del...

Nidhogg

Nidhogg Nidhogg 是一个多功能 Rootkit，用于展示内核空间中可以执行的各种操作。Nidhogg 的目标是提供一个一体化且易于使用的 Rootkit，具有多种对操作有用的功能。此外，它还可以轻松与你的 C2 框架集成。 Nidhogg 可在任何版本的 x64 Windows 10 和 Windows 11 上运行。 此仓库包含一个内核驱动程序以及一个用于与之通信的 C++ 程序。 如果你想了解更多信息，请查看 Wiki 获得详细说明。 当前功能 !IMPORTANT 所有功能均已完全测试至 Windows 11 25H2。 如果遇到问题，请先检查是否已有未关闭的...

PuttyRider

PuttyRider Secuestrar sesiones de Putty para espiar la conversación e inyectar comandos de Linux. Descarga PuttyRider-bin.zip Documentación Presentación de Defcamp 2014 - pdf Presentación de Defcamp 2014 - vídeo Ejemplos Listar los procesos Putty existentes y su estado inyectado / no inyectado...

DuplexSpyCS

DuplexSpy DuplexSpyCS CS significa CSharp es un RAT de código abierto basado en C/S Actualización continua: Branch-Version2.1.0 Documentos Los documentos en línea están aquí: DuplexSpy Ejecución Sin Archivos Inyector y cargador de DLL y shellcode Plugin Remoto Proxy Introducción DuplexSpy es un R...

hollows_hunter

hollowshunter Hollows Hunter is a command-line application based on PE-sieve passive memory scanner. Recognizes and dumps a variety of potentially malicious implants replaced/implanted PEs, shellcodes, hooks, in-memory patches. While in case of PE-sieve you can select the process only by its PID,...